关注互联网创业
干货|工具|教程|资源

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

7月16日,央视3·15晚会播出,曝光了包括售卖过期食材、精装房漏水漏气、“黑心”毛巾贴国标、美容院套路推销、平台推送虚假广告等在内的9大问题,其中,还揭露了部分手机软件违规收集个人信息的恶意行为

戳视频了解详情

 

据央视报道,上海市消费者权益保护委员会委托第三方对市场上的App进行检测,发现某些第三方开发的SDK存在违规收集用户个人信息的情况。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

恶意SDK是什么?它又是怎样悄悄在我们的手机中读取信息的?它会对我们的生活产生怎样的危害?

 

 

隐私泄露屡见不鲜恶意SDK背后作恶

SDK是Software Development Kit的缩写,即“软件开发工具包”。简单来说,它是辅助开发某一类应用软件的相关文档、范例和工具的集合

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

对App来说,为了缩短APP开发周期、提高开发效率,可以将某项功能交给第三方来开发,而第三方服务提供商便会将服务封装成SDK供开发者使用。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

而部分SDK包中会加入一些恶意功能,轻者违规获取用户信息,重者则会威胁手机隐私安全、资金账户安全

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

如“3·15晚会”曝光的氪信SDK,嵌入到APP后会默默收集用户数据,其中包括:联系人、通话记录、短信、应用安装列表、设备信息、位置信息等。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

据央视曝光,这款SDK共涉及50余个手机APP,SDK作为手机软件中提供某种功能或服务的插件植入到手机软件中,安装了这些APP的用户,手机中的隐私信息会被不断读取,而在这个过程中,用户毫不知情

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

而此次晚会曝光的另一款北京招财旺旺信息技术有限公司开发的SDK,除了收集用户手机号码、设备信息等隐私外,甚至会收集并上传用户手机中的短信内容,带有验证码的短信同样会被上传,在采集之后还会发送至指定服务器进行储存。

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

而用户的短信验证码是目前手机APP验证用户身份的重要手段之一,一旦泄露,不法分子可能会利用短信验证码进行软件登录、支付款项、开通业务等行为,可能会为用户带来极为严重的金钱损失。

 

SDK化身“黑产”保护伞利用个人隐私频频作恶

除了央视所曝光的SDK过度读取用户隐私外,不法分子还利用恶意SDK为以下黑产事件“开路”:

 

1、非法控制个人手机,进行恶意流量推广

2018年曾曝光过的“XX推”SDK,潜在影响近2千万用户。

开发商在300多款应用里安装了该款SDK,通过后门云控开启恶意功能,非法控制个人手机。恶意SDK可在云端动态更新下向用户手机发送恶意代码包,Root用户手机,植入恶意应用到用户设备系统目录,进行恶意广告行为和应用推广,以实现牟取灰色收益。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

同时,该SDK还会从服务器获取刷量任务,通过恶意控制用户手机的方式,在用户无感知的情况下进行自动化刷量服务。在无形中,你的手机成为了恶意流量黑产的“帮手”。

 

2、成为第四方支付平台的助推器

还有部分不法商家不断突破红线,将SDK用于“第四方支付平台”,使用自己注册和控制的支付“空壳公司”,为无收费权限的游戏软件、色情平台、赌博平台提供结算服务,给平台带来一定监管风险。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

2019年9月,守护者计划安全团队配合辽宁警方破获一起非法结算案,涉及微信商户流水60亿元。涉案公司属游戏行业比较知名的聚合支付公司,在正常聚合业务之外,还为300余款无牌游戏APP提供收款通道。

该案核心手法是挪用了商户支付接口:犯罪团伙将使用空壳公司注册的批量微信商户信息集成到SDK中,当团伙与无牌游戏公司勾连时,便将SDK作为游戏APP的支付功能模块使用,最终将所收的游戏充值款回流给游戏公司,实现结算目的。

 

3、层层隐蔽,危害用户安全

恶意SDK拥有很强的隐蔽性和对抗杀毒软件的能力,软件一旦植入恶意SDK,再通过应用市场分发到用户手中,就会造成较大的影响。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

这些恶意SDK会持续对用户的个人隐私进行过度读取,甚至帮助网络黑产“铺路”,严重影响移动互联网用户的信息安全和财产安全,危害合法应用市场声誉,造成恶劣的社会影响。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

如果这类型的新型黑产手法不加以遏制,未来SDK黑产甚至可以控制用户手机做更多的事情。

对恶意SDK重拳出击需要多方联合齐努力

恶意SDK悄悄藏匿在手机软件中,不仅让用户在使用过程中防不胜防,很多应用软件的开发者甚至都未曾了解软件导致的这些安全漏洞。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”

 

而恶意SDK无度索取个人信息、违规使用手机权限、“协助”黑产完成非法结算等行为,亟需整改和打击,才能保护用户的个人信息安全和财产安全。

在此,守哥呼吁各界携手,一起行动起来,联合打击恶意SDK

 

作为源头的APP开发者,需要对SDK有着充分了解,从源头上避免SDK通过APP过度索取用户信息、为黑产“保驾护航”等行为。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”1、APP应用开发者:

APP应用开发者应遵循合理、必要和最小化原则选择第三方SDK。对必须使用的SDK包加大审核力度,对第三方SDK进行全面的安全评估,特别警惕具有后台云控功能控制代码的SDK;

开发者应从自身角度履行责任,保障用户的信息安全。在软件开发过程中,需明确所开发APP对个人信息的采集与利用,个人信息存储及保护制度,个人信息的处理制度,未成年信息保护制度等,切实保护用户个人信息及隐私。

作为软件分发平台的应用市场,可以直接触达到客户,也需要充分发挥企业责任感。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”2、应用市场

各级应用市场应加强管理,增强对恶意SDK的识别、检测和防范能力。可参考一些应用分发平台采用的“恶意行为检测”+“隐私泄露检查”+“安全漏洞扫描”+“人工实名复检”四重检测体系,以多样安全审核措施保障上架应用的安全合规;

②应用市场应履行自身责任,在对APP进行检测后,对合规、安全、稳定的APP进行标识,便于用户在下载软件过程中进行适当的选择。而对于不合规的APP,应用市场应及时进行下架处理

作为用户,我们更应该从自己做起,保护个人隐私安全。

 

这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”3、用户:

避免在非官方应用市场下载APP,不要通过扫描二维码、点击链接的方式下载软件;

下载软件后要对其进行权限设置,在不影响使用的情况下尽量关闭应用内与“隐私相关”或与“资费相关”的权限;

忌在非官方渠道填写自己的银行账号密码等信息,填写任何个人信息都要三思而后行,仔细核查平台的合法性;

④如果遇见泄漏用户隐私或者其他违规行为的APP,及时通过中国互联网违法和不良信息举报中心的网址www.12377.cn进行举报。

历史上的今天

赞(2)
未经允许不得转载:木木资源博 » 这类软件赶紧卸载!央视315晚会揭露“手机里的窃贼插件”
大学生必备,最全互联网精品资源打包下载

评论 2

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
  1. #1

    以前在一个新闻上看到,说中国所有的软件都是流氓软件…

    淡然 2周前 (07-18) 来自天朝的朋友 谷歌浏览器  YAL-AL00 Build/HUAWEIYAL-AL00 P1 10 回复
    • @淡然 没有那么绝对,某些大厂的app还是有底线的

      兵临城下 2周前 (07-18) 来自天朝的朋友 谷歌浏览器 Windows 10 回复